Windows 10 i łatkowy wtorek sierpnia. Poważne problemy, niskie ryzyko

Choć sierpniowe paczki Windows Update przynoszą poprawki dla luk o CVSS 9.9, 9.8 i 8.8, chyba nie są tak pilne, jak mogłoby się wydawać. Chyba, bo Microsoft nie podzielił się istotnymi szczegółami. Podatność CVE-2021-26424 dotyczy stosu TCP/IP, więc wydaje się dotyczyć wszystkich obsługiwanych wersji Windows. I istotnie, Windows 7 oraz Windows Server 2008 (serwerowa Vista) widnieją na liście dotkniętych błędem systemów.

Ale opis sposobu przeprowadzenia ataku kreśli już o wiele bardziej ograniczony scenariusz. Konieczne jest bowiem wysłanie pakietu ping z maszyny wirtualnej hostowanej w Hyper-V podatnego systemu. Nie każdy Windows ma włączone Hyper-V, i to w dodatku z IPv6, a problem dotyczy tylko hostów. Co zatem na liście robi Windows 7? Czy problem dotyczy też wbudowanego w Siódemkę Windows Virtual PC, czy może problem wykracza ponad lakoniczny opis o wirtualizacji? Nie wiadomo.

Kolejna podatność na liście dotyczy sterownika gramatyki serializacji XDR dla protokołu ONC RPC (tzw. "sunowski RPC") do obsługi usług NFS. Złożoność opisu powinna ułatwić domyślenie się, jak często stosowany jest to protokół. Niemniej, Windows obsługuje takie cuda. Przydają się w mocno heterogenicznych środowiskach, jak korporacje, rozbudowana infrastruktura komunikacyjna i… uczelnie techniczne. Przeciętny użytkownik nie ma nic wspólnego z usługami NFS w Windows. Pięć luk, w tym jedna krytyczna (CVE-2021-26432, 9.8), stanowi wtedy ciekawostkę.

CVE-2021-36936 to ciąg dalszy problemów z Buforem Wydruku. Ale chyba już każdy administrator wyłączył na kontrolerze domeny usługę Spoolera, więc podatność pozwala wtedy "jedynie" na podniesienie uprawnień. Bufor Wydruku będzie rogiem obfitości w kwestii luk bezpieczeństwa, był bowiem dość kiepsko zaprojektowany u swojego zarania i przeszedł bardzo mało zmian na przestrzeni lat.

Ostatnia krytyczna luka (8.8) dotyczy usług Zdalnego Pulpitu (RDP). Poważne słabości w RDP to zazwyczaj dobry powód do paniki, ze względu na liczbę serwerów wyprowadzonych bezpośrednio do internetu. Tym razem jednak podatność leży w… kliencie. Jeżeli systemowy klient RDP połączy się z serwerem, który został zaatakowany i przejęty, możliwe jest zdalne wykonanie kodu na maszynie klienta. Problem jest więc odwrotnością klasycznych podatności RDP, co oznacza mniejsze ryzyko. Nie czeka nas robak rozsiewający się przez RDP.

Aktualizacje Windows Update są już gotowe do pobrania i (w większości przypadków) zainstalują się automatycznie. Naprawiają znacznie więcej rzeczy, niż wyżej wymienione. W większości nie są pilne, ale nie należy z nimi zwlekać, w myśl zwyczajowej zachęty: zalety aktualizacji przeważają nad wadami, a skutki uboczne są bardzo rzadkie.